Aanbevolen werkwijzen voor e-mailbeveiliging en hoe je deze kunt toepassen

De meeste beveiligingsincidenten die via e-mail beginnen, zijn niet het gevolg van een geavanceerde aanval. Ze beginnen met één gebruiker die een phishingbericht niet herkende, op een link klikte en zo een aanvaller toegang verschaftte. De technische beveiligingsmaatregelen waren wel aanwezig. Het probleem zat hem in de manier waarop deze waren geconfigureerd, onderhouden en ondersteund door goed opgeleide gebruikers.

Dat is precies de praktijk waar INKY, de e-mailbeveiligingssoftware van Kaseya, op is afgestemd, en daarom richten de onderstaande maatregelen zich op wat het risico daadwerkelijk vermindert, in plaats van op wat er goed uitziet op een nalevingschecklist.

Waarom e-mailbeveiliging voortdurende aandacht vereist

Een eenmalige configuratie is geen beveiligingsmaatregel. De tactieken van aanvallers veranderen sneller dan de meeste organisaties hun beveiliging kunnen bijwerken. Aanvallers passen zich aan aan de filters die er zijn, zoeken de zwakke plekken op en maken daar misbruik van.

Uit het Verizon Data Breach Investigations Report 2025 bleek dat menselijke factoren bij 60% van de datalekken een rol speelden, waarbij phishing de meest voorkomende social-engineeringmethode was. Bij financieel gemotiveerde aanvallen wordt steeds vaker gebruikgemaakt van Business Email Compromise (BEC), waarbij geen schadelijke bijlage of link wordt meegestuurd die door een filter kan worden onderschept. Het lijkt gewoon alsof een vertrouwde collega of leverancier een redelijk verzoek doet.

Dat betekent dat de onderstaande werkwijzen geen stappen zijn die je eenmaal installeert en vervolgens kunt vergeten. Ze vereisen de juiste hulpmiddelen, een consequente uitvoering en een gebruikersgroep die weet wat ze moet doen als er iets niet in orde lijkt te zijn.

Hoe slechte e-mailbeveiliging bedrijven geld kost

De financiële argumenten om te investeren in e-mailbeveiliging zijn duidelijk: de kosten van een datalek liggen steevast aanzienlijk hoger dan de kosten van preventie.

Volgens het rapport ‘Cost of a Data Breach Report 2025’ van IBM kost een gemiddeld phishing-incident een organisatie 4,88 miljoen dollar. Dit bedrag omvat de kosten voor incidentbeheersing, juridische kosten en kosten voor meldingsplicht, boetes van toezichthouders, omzetverlies en reputatieschade. Voor de meeste kleine en middelgrote ondernemingen is een datalek van die omvang onoverkomelijk.

BEC-aanvallen zijn bijzonder schadelijk omdat er vaak geen technisch spoor is om ze op te sporen en er geen moment is waarop een gebruiker duidelijk iets verkeerds heeft gedaan. Een medewerker die geld heeft overgemaakt op basis van een overtuigende e-mail van iemand die zich voordeed als de CFO, deed precies wat hem of haar was gevraagd. In het Internet Crime Report 2024 van de FBI werd 2,77 miljard dollar aan BEC-verliezen geregistreerd, verdeeld over meer dan 21.000 klachten. Aangezien veel incidenten niet worden gemeld, ligt het werkelijke cijfer vrijwel zeker hoger.

Naast de directe financiële schade lopen de kosten in de verdere keten snel op. Een inbreuk die begon met een onbeveiligde inbox kan leiden tot boetes op grond van de HIPAA, AVG PCI DSS. Schadeclaims in het kader van cyberverzekeringen die verband houden met e-mailincidenten kunnen de premies opdrijven of aanleiding geven tot geschillen over de dekking als er geen basismaatregelen waren getroffen. En de reputatieschade als gevolg van een openbaar gemaakte inbreuk kan klantrelaties kosten die jarenlang zijn opgebouwd.

10 aanbevolen werkwijzen voor e-mailbeveiliging

Een sterke e-mailbeveiliging komt neer op het in lagen aanbrengen van de juiste beveiligingsmaatregelen en het consequent handhaven daarvan. De volgende tien werkwijzen richten zich op de belangrijkste risicogebieden, van authenticatie en filtering tot gebruikersgedrag en accountmonitoring.

1. Zorg ervoor dat er meervoudige authenticatie (MFA) wordt toegepast

Meervoudige authenticatie is de meest effectieve maatregel om ongeoorloofde toegang tot accounts te voorkomen. Een gestolen wachtwoord is de meest voorkomende aanvalsmethode waarbij inloggegevens worden misbruikt, en zonder MFA is dat alles wat een aanvaller nodig heeft om een inbox over te nemen, toegang te krijgen tot interne communicatie en doorstuurregels in te stellen die nog lang blijven bestaan nadat de aanvankelijke inbreuk is ontdekt.

Voer MFA organisatiebreed in, zonder uitzonderingen voor leidinggevenden of serviceaccounts. Dit zijn vaak de meest waardevolle doelwitten, dus hebben ze juist meer bescherming nodig, niet minder controle. Gebruik waar mogelijk een authenticatie-app in plaats van sms, aangezien bij SIM-swapping-aanvallen sms-codes kunnen worden onderschept.

De naleving van de MFA-richtlijnen wordt ook steeds vaker een vereiste om in aanmerking te komen voor een cyberverzekering en om te voldoen aan de regelgeving. Het is veel eenvoudiger om dit proactief in te voeren dan om het achteraf aan te passen na een inbreuk, en de meeste cyberverzekeraars beschouwen het inmiddels als een basismaatregel in plaats van als een extraatje.

2. Implementeer SPF, DKIM en DMARC

Drie op DNS gebaseerde authenticatieprotocollen vormen de technische basis voor de verificatie van afzenders:

• SPF (Sender Policy Framework) bepaalt welke mailservers bevoegd zijn om e-mail namens een domein te verzenden. Elk bericht dat vanaf een niet-vermelde server wordt verzonden, voldoet niet aan de SPF-controle.
• DKIM (DomainKeys Identified Mail) voegt een cryptografische handtekening toe aan uitgaande berichten. Ontvangende servers verifiëren de handtekening aan de hand van een openbare sleutel in de DNS van het verzendende domein, waarmee wordt bevestigd dat het bericht tijdens het verzenden niet is gewijzigd.
• DMARC (Domain-based Message Authentication, Reporting and Conformance) geeft ontvangende servers aan wat ze moeten doen met berichten die de SPF- en DKIM-controles niet doorstaan: ze accepteren, in quarantaine plaatsen of weigeren. Het genereert ook rapporten waarin wordt weergegeven wie e-mail verstuurt die beweert afkomstig te zijn van uw domein.

Het publiceren van deze records is eenvoudig. De belangrijke stap die de meeste organisaties overslaan, is het omzetten van DMARC van een monitoringbeleid (p=none) naar een handhavingsbeleid (p=quarantine of p=reject). Zonder handhaving komen mislukte berichten nog steeds in de inbox terecht en bieden de authenticatiecontroles geen echte bescherming.

DMARC-rapportage brengt ook ongeoorloofd gebruik van uw domein aan het licht in campagnes die gericht zijn op uw eigen gebruikers of partners — waardevolle informatie die u zonder deze rapportage niet zou krijgen.

3. Voeg een speciale beveiligingslaag voor e-mail toe

Microsoft 365 en Google Workspace beschikken over ingebouwde filters, die een redelijke basis vormen tegen bekende spam en bepaalde categorieën malware. Deze filters zijn echter niet ontworpen om geavanceerde, gerichte bedreigingen op te sporen. BEC-aanvallen bevatten geen payload die kan worden gescand. Door AI gegenereerde phishingberichten vertonen geen van de taalpatronen waarop oudere filters zijn getraind om ze te signaleren. Lookalike-domeinen doorstaan authenticatiecontroles omdat ze technisch gezien legitiem zijn.

Een gespecialiseerde anti-phishingoplossing biedt de gedragsdetectie die in de standaardtools ontbreekt: analyse van de relatie met de afzender, signalen met betrekking tot toon en urgentie, controle van de bestemming van links, computervisie voor het herkennen van merkvervalsing in afbeeldingen en detectie van QR-codes die worden gebruikt om phishinglinks te verspreiden. Deze mogelijkheden maken het verschil tussen het opsporen van een goed opgestelde spear-phishing-e-mail en het ongemarkeerd in de inbox van een senior manager laten belanden.

INKY op GenAI gebaseerde analyses INKY op inkomende, uitgaande en interne e-mail, signaleert bedreigingen die door op handtekeningen gebaseerde systemen worden gemist en toont waarschuwingsbanners rechtstreeks in de inbox van gebruikers, zodat zij begrijpen wat de reden voor de waarschuwing is en wat ze moeten doen.

4. Voer regelmatig phishingsimulaties uit

Phishingsimulaties meten wat training alleen niet kan meten: het daadwerkelijke gedrag van gebruikers onder realistische omstandigheden. Een organisatie kan al haar jaarlijkse trainingsmodules voltooien en toch een aanzienlijk deel van de gebruikers hebben dat onder tijdsdruk op een goed opgestelde phishinglink zal klikken.

Door regelmatig simulaties uit te voeren – minstens elk kwartaal, met scenario’s die aansluiten bij de huidige aanvalstrends – kan worden vastgesteld wie extra ondersteuning nodig heeft en kan in de loop van de tijd een kritische houding worden aangeleerd. Het is van cruciaal belang dat deze simulaties niet als strafmaatregel worden ingezet. Gebruikers die op een gesimuleerde phishinglink klikken, moeten onmiddellijk een contextuele uitleg krijgen over wat ze over het hoofd hebben gezien en waarom, waarna ze naar een korte corrigerende module worden doorgestuurd.

BullPhish ID, de tool van Kaseya voor bewustwordingstrainingen op het gebied van beveiliging, bevat een bibliotheek met kits voor phishing-simulatiecampagnes die maandelijks worden bijgewerkt om rekening te houden met actuele bedreigingen. Campagnes kunnen zo worden ingepland dat ze op willekeurige tijdstippen binnen een bepaald tijdsbestek worden verzonden. Dit voorkomt dat gebruikers hun collega’s erop attenderen dat er een simulatie gaande is en geeft een nauwkeuriger beeld van de werkelijke kwetsbaarheid.

5. Zorg ervoor dat de trainingen over e-mailbeveiliging actueel blijven

Een jaarlijkse beveiligingstraining is beter dan helemaal geen training, maar het is niet genoeg. Aanvalstechnieken veranderen sneller dan een jaarlijkse opfriscursus kan bijhouden. Een gebruiker die in januari een training heeft gevolgd, herinnert zich daar in oktober nog maar weinig van en heeft geen enkel inzicht in de bedreigingen die na de opname van de training zijn opgedoken.

Korte, regelmatige trainingssessies die aansluiten bij actuele aanvalstrends zijn effectiever. Maandelijkse modules over recente soorten bedreigingen, opkomende phishingtechnieken en bijgewerkte social-engineeringtactieken houden het bewustzijn op peil zonder dat er trainingsmoeheid ontstaat. Het doel is het opbouwen van een beveiligingscultuur waarin medewerkers het herkennen van bedreigingen zien als onderdeel van hun dagelijkse routine, en niet als een verplichting die ze moeten afvinken.

Uit het Verizon DBIR-rapport van 2025 blijkt dat de kwetsbaarheid voor phishing aanzienlijk afneemt bij organisaties met consistente trainingsprogramma’s; goed getrainde teams hebben een kwetsbaarheidspercentage van minder dan 5%, terwijl het branchegemiddelde rond de 33% ligt.

Dankzij de korte videomodules, online quizzen en geautomatiseerde workflows voor bijscholing BullPhish IDis het haalbaar om binnen een organisatie regelmatig trainingen te organiseren, zonder dat dit een extra administratieve last vormt voor het team dat de trainingen verzorgt.

6. Versleutel gevoelige e-mailberichten

Transport Layer Security (TLS) versleutelt berichten die tussen e-mailservers worden verzonden, waardoor deze worden beschermd tegen onderschepping op netwerkniveau. Voor de meeste organisaties is het een praktisch uitgangspunt om ervoor te zorgen dat TLS wordt toegepast op uitgaande e-mail naar belangrijke partners en klanten.

Voor communicatie waarbij regelmatig gereguleerde gegevens, financiële informatie of gevoelige klantgegevens worden verzonden, biedt end-to-end-versleuteling met S/MIME of PGP een betere bescherming. Bij S/MIME wordt het bericht versleuteld vanaf de client van de afzender tot aan de client van de ontvanger, wat betekent dat zelfs de e-mailprovider de inhoud niet kan lezen.

Voor organisaties in de gezondheidszorg, de financiële sector of de juridische dienstverlening is versleuteling vaak een wettelijke verplichting, en niet alleen een beveiligingsaanbeveling. Door vast te stellen welke communicatie regelmatig gereguleerde gegevens bevat en ervoor te zorgen dat er passende versleuteling wordt toegepast, kan op eenvoudige wijze zowel het risico op datalekken als de blootstelling aan regelgevingsrisico’s worden verminderd.

7. Implementeer maatregelen ter voorkoming van gegevensverlies (DLP)

De meeste aandacht op het gebied van e-mailbeveiliging gaat uit naar inkomende bedreigingen, maar ook uitgaande e-mail vormt een aanzienlijk risico. Het per ongeluk openbaar maken van gevoelige gegevens, een medewerker die vertrouwelijke informatie doorstuurt naar een persoonlijk account, of een aanvaller die een gehackte mailbox gebruikt om gegevens te stelen: dit alles kan leiden tot ernstige problemen op het gebied van naleving en reputatie.

DLP-tools scannen uitgaande e-mail op patronen die verband houden met gereguleerde of gevoelige gegevens: creditcardnummers, burgerservicenummers, identificatiecodes van medische dossiers en specifieke documenttypes. Wanneer een bericht voldoet aan een vastgesteld beleid, kan het worden gemarkeerd, in quarantaine worden geplaatst of worden geblokkeerd voordat het de omgeving verlaat.

Voor bedrijven die onder HIPAA, PCI DSS, AVG of vergelijkbare regelgevingskaders vallen, is DLP voor uitgaande e-mail doorgaans een vereiste om aan de regelgeving te voldoen. Zelfs buiten gereguleerde sectoren bieden DLP-beleidsregels een zinvolle bescherming tegen onbedoelde gegevenslekken en de reputatieschade en juridische gevolgen die daaruit voortvloeien.

8. Pas het principe van minimale rechten toe bij de toegang tot e-mail

Niet elke medewerker heeft toegang nodig tot elke gedeelde mailbox, distributielijst of e-mailbeheerfunctie. Te ruime toegangsrechten vergroten het risico op onnodige schade wanneer één account wordt gehackt.

Controleer en evalueer regelmatig de toegangsrechten voor e-mail. Gedeelde mailboxen mogen alleen toegankelijk zijn voor gebruikers die deze nodig hebben. Beheerdersrechten voor de e-mailconfiguratie moeten worden beperkt tot de personen die de e-mailinfrastructuur beheren. Distributielijsten moeten worden vergrendeld, zodat alleen geautoriseerde afzenders er e-mails naar kunnen sturen.

Wanneer een medewerker het bedrijf verlaat of van functie verandert, moet de toegang tot e-mail worden aangepast als onderdeel van het offboarding- of functiewisselingsproces; deze mag niet voor onbepaalde tijd blijven bestaan. Verouderde toegangsrechten zijn een van de meest voorkomende manieren waarop aanvallers toegang behouden, lang nadat een eerste inbreuk is ontdekt.

9. Stel een procedure op voor het melden van verdachte berichten

Gebruikers die iets ongewoons opmerken, moeten dit snel en zonder veel gedoe kunnen melden. Als het melden betekent dat ze een meerstappenproces via een ticketsysteem moeten doorlopen of een e-mail moeten sturen naar een adres waarop pas na dagen wordt gereageerd, zullen gebruikers daar geen moeite meer voor doen. Daardoor gaat een waardevol signaal voor het IT-team verloren en blijven andere gebruikers blootgesteld aan dezelfde melding.

Een goed ontworpen meldingsproces omvat een mechanisme waarmee gebruikers met één muisklik rechtstreeks vanuit hun e-mailprogramma een melding kunnen indienen, een bevestiging aan de gebruiker zodat deze weet dat de melding is ontvangen, en een vastgestelde reactietijd voor het beoordelen van gemarkeerde berichten. Wanneer een gemeld bericht inderdaad schadelijk blijkt te zijn, moet het IT-team in staat zijn om soortgelijke berichten uit andere inboxen op te halen en de detectieregels snel bij te werken.

Deze feedbackloop tussen gebruikers en het IT-team is een van de meest verwaarloosde aspecten van de meeste e-mailbeveiligingsopstellingen. Waarschuwingsbanners die uitleggen waarom een bericht verdacht lijkt en gebruikers aansporen om het te melden, zorgen voor een aanzienlijke toename van zowel het aantal als de kwaliteit van de meldingen over bedreigingen die het beveiligingsteam ontvangt.

10. Let op signalen die erop wijzen dat een e-mailaccount is gehackt

Technische beveiligingsmaatregelen en gebruikerstraining verminderen de kans op accountmisbruik, maar sluiten dit niet volledig uit. Wanneer een account wordt gekaapt, bepaalt de tijd tussen het moment van het eerste misbruik en de ontdekking ervan hoeveel schade de aanvaller kan aanrichten.

Er zijn verschillende gedragssignalen die vaak voorafgaan aan of direct volgen op het gehackt worden van een account:

• Er zijn nieuwe regels voor het doorsturen van e-mail opgesteld, met name regels voor het doorsturen naar externe adressen
• Ongebruikelijke inlogactiviteit: nieuwe geografische locaties, gelijktijdige sessies vanuit verschillende landen, inlogpogingen op ongebruikelijke tijdstippen
• Het versturen van bulk-e-mails vanuit een account dat normaal gesproken niet voor bulkverzendingen wordt gebruikt
• Wijzigingen in de delegatie of machtigingen voor mailboxen
• Wachtwoordwijzigingen die niet door de accounteigenaar zijn geïnitieerd

Door op deze signalen te letten en een vastomlijnd reactieproces te hanteren – waaronder het afdwingen van een wachtwoordreset en het beëindigen van actieve sessies wanneer verdachte activiteiten worden gedetecteerd – wordt de blootstellingsperiode aanzienlijk beperkt. Veel aanvallen waarbij accounts worden overgenomen, blijven wekenlang onopgemerkt omdat niemand op deze signalen let totdat de aanvaller iets zichtbaars doet.

Hoe deze werkwijzen op elkaar inwerken

Elke maatregel richt zich op een ander onderdeel van het risicoprofiel en geen enkele maatregel werkt op zichzelf. MFA voorkomt dat diefstal van inloggegevens leidt tot het overnemen van een account. Authenticatieprotocollen voorkomen domeinspoofing. Speciale e-mailbeveiliging onderschept de bedreigingen die de authenticatie weten te omzeilen. Phishingsimulaties meten en versterken de weerbaarheid van gebruikers. DLP en toegangscontroles beperken wat een aanvaller kan doen met een gecompromitteerd account. Rapportageprocessen en monitoring van inbreuken maken het geheel compleet.

De organisaties die dit verkeerd aanpakken, hebben doorgaans wel enkele beveiligingsmaatregelen getroffen, maar er zitten hiaten in. MFA is op de meeste mailboxen geïmplementeerd, maar niet op serviceaccounts. DMARC is gepubliceerd met p=none en is nooit overgegaan naar handhaving. Er wordt één keer per jaar een training gegeven, maar deze wordt niet ondersteund met simulaties. Eén zwakke schakel in deze keten is alles wat een aanvaller nodig heeft.

Het is juist het consequent handhaven van die aanpak – voor alle gebruikers, op alle apparaten en op de lange termijn – waar de meeste organisaties moeite mee hebben. Het gaat niet zozeer om welke tools je hebt, maar meer om de vraag of ze correct zijn geconfigureerd, up-to-date worden gehouden en worden ondersteund door gebruikers die weten wat ze moeten doen als er iets mis lijkt te zijn.

Veelvoorkomende fouten die de e-mailbeveiliging ondermijnen

Weten wat je niet moet doen, is net zo nuttig als de lijst met best practices zelf. Dit zijn de tekortkomingen die het vaakst voorkomen in omgevingen waar zich een beveiligingsincident heeft voorgedaan dat terug te voeren is op e-mail:

• MFA als optioneel beschouwen voor senior gebruikers: leidinggevenden zijn een voornaamste doelgroep voor BEC-aanvallen. Het uitschakelen of omzeilen van MFA uit gemakzucht is een van de meest voorkomende manieren waarop organisaties hun accounts met het hoogste risico creëren.
• DMARC voor onbepaalde tijd op p=none laten staan: Het publiceren van DMARC-records zonder over te stappen op een ‘reject’- of ‘quarantine’-beleid biedt geen bescherming. Het geeft alleen aan dat u toezicht houdt. Een aanvaller die uw domein vervalst, zal zijn doel bereiken zolang de handhaving is uitgeschakeld.
• Alleen vertrouwen op de ingebouwde filters van Microsoft 365 of Google Workspace: De ingebouwde filters kunnen bekende, veelvoorkomende bedreigingen goed aan. Ze zijn echter niet ontworpen voor door AI gegenereerde phishing, gerichte BEC-aanvallen of aanvallen via domeinen die op legitieme domeinen lijken. Als u dit als voldoende beschouwt, ontstaat er een aanzienlijke detectielacune.
• Phishingsimulaties uitvoeren zonder vervolgactie: een simulatie die gebruikers betrapt die doorklikken, maar geen directe begeleiding biedt, heeft slechts beperkte waarde. Het leerproces vindt op dat moment plaats, niet in een rapport aan het einde van de maand.
• Uitgaande e-mail negeren: Door je volledig te richten op inkomende bedreigingen, worden gegevenslekken, verdachte activiteiten op gecompromitteerde accounts en het onbedoeld openbaar maken van gevoelige gegevens via uitgaande e-mails over het hoofd gezien.
• Toegangsrechten niet controleren na rolwijzigingen: Medewerkers die van functie veranderen of het bedrijf verlaten, behouden vaak nog maandenlang toegang tot hun e-mail. Controleer de toegangsrechten als onderdeel van het offboardingproces, en niet als een periodieke beveiligingstaak.

Verbeter de e-mailbeveiliging met Kaseya

INKY is de e-mailbeveiligingssoftware van Kaseya. Het maakt gebruik van GenAI-gestuurde analyse om phishing en andere bedreigingen in inkomende, uitgaande en interne e-mail te detecteren en toont interactieve waarschuwingsbanners in de inbox die gebruikers uitleggen waarom een bericht is gemarkeerd en welke actie ze moeten ondernemen. Die directe begeleiding versterkt het beveiligingsbewustzijn zonder dat er aparte trainingssessies nodig zijn.

BullPhish ID is Kaseya's software voor beveiligingsbewustzijnstraining en phishing-simulaties. Het combineert boeiende, beknopte trainingsmodules met een regelmatig bijgewerkte bibliotheek van phishing-simulatiekits en geautomatiseerde vervolgtraining voor gebruikers die extra ondersteuning nodig hebben.

Beide zijn beschikbaar als onderdeel van Kaseya 365 , dat een complete set tools biedt voor het voorkomen van, reageren op en herstellen van bedreigingen die specifiek op gebruikers zijn gericht. De suite omvat INKY, BullPhish ID, Dark Web ID het monitoren van inloggegevens, SaaS Alerts detectie en reactie in de cloud, en Datto SaaS Protection back-ups van Microsoft 365 en Google Workspace.

Voor bedrijven die hun e-mailbeveiliging intern beheren, brengt Kaseya 365 de belangrijkste beheerfuncties op één plek samen, waardoor het beheer van meerdere afzonderlijke oplossingen minder complex wordt. Voor MSP’s betekent de multi-tenant-architectuur dat dezelfde tools via één enkele interface voor het gehele klantenbestand kunnen worden geïmplementeerd en beheerd, met consistent beleid en rapportage in elke omgeving.